'Jako Esport': Jak OpenSea zabezpečila svůj kód pomocí auditní soutěže Code4rena

(Proces odesílání chyb je zcela anonymní, ale pro sponzory s KYC, AML nebo jinými zákonnými povinnostmi pořádá C4 také soukromé soutěže pouze pro zvané s menším počtem certifikovaných dozorců pracujících pod NDA.)

Lépe spolupracovat

Krása veřejného auditu C4 spočívá v tom, že je konkurenceschopný a kdokoli se může zúčastnit, řekl Sock.

Strážci provozují celou škálu, od hardcore bezpečnostních inženýrů přes zelené vývojáře, kteří se snaží získat více zkušeností s auditováním chytrých kontraktů, až po lidi, kteří už na kryptoměnách vydělali jmění a chtějí si jen užít trochu zábavy při lovu chyb.

"Umožňuje novým vývojářům a výzkumníkům vstoupit do prostoru auditu za rovných podmínek," řekl OpenSea Dešifrovat.

Nalezení vzácné nebo vážně špatné chyby vydělá správci více peněz než běžná chyba, kterou nahlásilo několik správců – ale každý, kdo odešle platnou chybu, dostane zaplaceno, i když tato chyba již byla nahlášena.

To je velmi odlišné od bug bounty programů, které odměňují pouze prvního člověka, který najde exploit. Pokud na stejnou chybu narazí o pár minut později někdo jiný, má smůlu.

To podporuje pocit zdravé soutěže. I když jsou dozorci motivováni k tomu, aby našli závažnější chyby, nakonec v procesu naleznou spoustu dalších chyb a za své úsilí jsou odměněni. Někteří dozorci dokonce spolupracují v ad hoc týmech.

"Můžete si to představit skoro jako esport," řekl Sock.

Při typickém auditu C4 bude více než 50 správců generovat zhruba 400 různých chybových zpráv v průběhu jednoho nebo dvou týdnů.

Pokud typická auditorská firma provádí 1-2 týdenní audity s 1-2 auditory, přináší to 40 až 160 hodin kontroly kódu. Na základě průměrů času stráveného kontrolou kódu, který sami dozorci uvedli, je nyní u většiny soutěží Code4rena minimálně 600 hodin kontroly kódu, u některých dokonce 1,000 XNUMX hodin nebo více.

Nalezeno a opraveno

Během revize protokolu Seaport společnosti OpenSea dozorci C4 odhalili více problémů které dříve zůstaly bez povšimnutí, včetně dvou, které rozhodčí C4 považovali za vysoce závažné. Jeden z těchto problémů byl nalezen osmi různými dozorci a/nebo týmy. Druhého našel jen jeden.

Několik recenzentů si například uvědomilo, že za určitých okolností mohou být objednávky, které byly vyplněny pouze částečně, zpracovány vícekrát. OpenSea napravila problém v námořním přístavu zavedením ochrany, aby čitatel a jmenovatel nikdy nemohly překročit určitou konkrétní hodnotu.

Auditoři C4 si také všimli, že spuštění dvou konkrétních chyb souvisejících s agregací plnění jedna po druhé by obešlo kontroly u obou. Potenciálně velmi špatná situace byla opravena provedením malé úpravy kontroly chyb.

Mnohé z chyb, které v kódu identifikovali dozorci Code4rena, ostatní přehlédli během několika minulých kontrol a auditů.

V červnu to OpenSea dokázala migrovat své tržiště do Seaportu s důvěrou, že všechny hlavní problémy byly nalezeny a vyřešeny, řekl zástupce OpenSea Dešifrovat.

Budoucnost práce

Kromě rychlosti, efektivity a hodnoty, které může audit C4 přinést společnostem, které chtějí zabezpečit svůj kód inteligentních smluv, je tento model také případovou studií toho, jak se mění povaha práce.

Code4rena pořádá každý týden několik auditních soutěží a zúčastnit se může kdokoli, řekl Christoph Michel (aka Cmichel), jeden z nejvyšších dozorců C4. Od února 2021, kdy Cmichel soutěžil ve své první soutěži C4, prověřil kódové základny pro přibližně 100 projektů a vydělal více než 1 milionu dolarů.

"Nemusíte žádat o povolení nebo absolvovat pracovní pohovor," řekl Cmichel. "Jediná věc, která se počítá, je, jak dobře dokážete porušit protokol."

Flexibilita je také lákavá.

"Pokud jsem zaneprázdněn jinou prací nebo si chci odpočinout, prostě v tomto týdnu nesoutěžím," řekl Cmichel. "Pro mě je to budoucnost práce."

Chcete být odborníkem na kryptoměny? Získejte to nejlepší z dešifrování přímo do vaší schránky.

Získejte největší kryptografické zprávy + týdenní shrnutí a další!